iptables的-m owner模块仅支持在output链按uid/gid限制本机出站流量，不能直接按进程限制，需以专用uid运行php-fpm worker并配置相应规则。
PHP本身不提供网络访问控制能力，所谓“PHP防火墙”实际是限制运行PHP的进程能发起哪些网络连接，必须依赖操作系统级防火墙（如iptables）或容器/服务隔离机制。直接在PHP代码或php.ini里做“网络限流”“禁止外连”是无效的，因为请求早已离开PHP解释器进入内核网络栈。
用iptables按UID限制PHP进程外连
这是最可靠、最底层的方式，适用于PHP以独立用户身份运行（如FPM pool指定user/group）的场景：
- 先确认PHP-FPM worker进程的UID：运行
ps aux | grep php-fpm，找到worker进程所属用户，再执行id -u www-data（或对应用户名）获取数字UID - 添加OUTPUT链规则，阻止该UID所有出站新连接：
sudo iptables -A OUTPUT -m owner --uid-owner 33 -j DROP（假设www-data UID为33） - 如需放行特定服务（例如只允许连MySQL），在DROP前插入ACCEPT规则：
sudo iptables -I OUTPUT -m owner --uid-owner 33 -d 10.0.2.15 -p tcp --dport 3306 -j ACCEPT - 规则默认重启失效，需保存：
sudo iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或使用iptables-services（RHEL/CentOS）
通过PHP-FPM配置隔离运行环境
比单纯封网络更彻底的做法，是让PHP进程在受限环境中启动，天然不具备外连能力：
- 在PHP-FPM pool配置（如
/etc/php/8.1/fpm/pool.d/www.conf）中启用网络命名空间隔离：systemd = 1（需配合systemd启动） - 添加
systemd.scope = php-app-scope，然后用systemd-run --scope --scope-net=none ...启动pool（需较新systemd） - 或使用
php_admin_value[disable_functions]禁用curl_exec、file_get_contents等网络相关函数，作为应用层兜底
Web服务器层做请求级过滤（非网络层，但实用）
如果目标是阻止PHP脚本“主动调用外部API”，但又不想动系统防火墙，可结合Web服务器与PHP扩展：
- 启用
php-waf扩展，在请求解析阶段拦截含curl_、file_get_contents等函数调用的恶意载荷 - 在Nginx中用
map指令识别PHP脚本发起的上游请求（如$upstream_http_host），配合geo模块对目标域名做黑白名单 - 对关键接口（如支付回调、数据同步）强制校验
$_SERVER['HTTP_HOST']或签名，拒绝非预期来源的调用
真正起效的网络访问限制，从来不在PHP代码里——它藏在内核的OUTPUT链中，或运行时的命名空间配置里。写一百行if (is_blocked()) die()也拦不住一个curl_exec，但一条iptables -m owner就能让它永远连不出去。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
